Don't get rekt

Большинство людей, потерявших криптовалюту, теряют ее не из-за обвала рынка. Они теряют ее из-за ошибки, на которую ушло тридцать секунд: сид-фраза, введенная на поддельном сайте; сбережения, оставленные на бирже, которая рухнула; «агент поддержки», который написал им в личные сообщения. Каждую из этих ошибок можно предотвратить, и предотвращение почти ничего не стоит. Именно для этого и нужна эта страница.

Модель угроз, честно

Три вещи отнимают у людей их биткоины, в таком порядке:

1. Мошенничество. Фишинговые сайты, поддельная поддержка, гибриды инвестиций и романтических знакомств, схемы с гарантированной доходностью. Internet Crime Complaint Center ФБР зафиксировал 9,3 миллиарда долларов заявленных потерь от мошенничества с криптовалютой в США в 2024 году, а заявленные потери занижают реальность.
2. Крах кастодиана. Mt. Gox, Celsius, FTX, Bittrex: биржи и кредиторы, которые хранили биткоины клиентов, а потом не смогли их вернуть. В суде по делам о банкротстве криптовалюта годами ждет своей очереди.
3. Потеря ключей по собственной вине. Сид-фразы в облачных фотоальбомах (взломаны), на единственном листе бумаги (сгорел, залит водой, выброшен) или вовсе без резервной копии.

Обратите внимание на то, чего в этом списке нет: изощренных хакеров, ломающих криптографию. Криптографию биткоина никогда не взламывали. Злоумышленники обходят ее, действуя через вас. А значит, будут ли ваши биткоины целы, решают ваши привычки, а не ваши технические навыки.

Десять правил

1. Не ваши ключи, не ваши биткоины

Остаток на бирже представляет собой долговую расписку. Он становится вашим биткоином только тогда, когда вы выводите его на кошелек, ключи от которого есть у вас. Держите на биржах только то, чем вы активно торгуете или что собираетесь потратить. Все, что вам было бы жаль потерять, должно находиться на самостоятельном хранении.

2. Покупайте аппаратный кошелек у производителя

Аппаратный кошелек хранит ваши ключи на устройстве, которое никогда не открывает их вашему компьютеру. Покупайте его напрямую у производителя, а не у перекупщика на торговой площадке, где попадались устройства, в которые уже вмешивались. Когда кошелек придет, устройство создаст новую сид-фразу; никто, включая производителя, не должен был видеть ее до вас.

3. Сид-фраза никогда не попадает в цифровой вид

Никаких фотографий. Никаких облачных заметок. Никакого менеджера паролей. Никогда не вводите ее ни на одном сайте, ни в одном приложении, ни в «инструменте проверки». Запишите слова на бумаге или выбейте их на стали, храните резервную копию там, где она переживет пожар и наводнение, и подумайте о второй копии в другом месте. Каждый сервис, который просит вас ввести существующую сид-фразу онлайн, либо мошенник, либо вот-вот им станет.

4. Запросы на проверку являются атаками

Ни одна биржа, ни один производитель кошельков, ни один инфлюенсер никогда не напишет вам первым в личные сообщения. «Поддержка», которая пишет вам сама, является мошенничеством. «Проверка» вашего кошелька является мошенничеством. Любой, кто просит перевести средства «на безопасный адрес», мошенник. Правильный ответ на непрошеную помощь с криптовалютой это молчание и блокировка.

5. Если доходность гарантирована, то и убыток тоже

Два процента в день, двадцать процентов в месяц, «безрисковый арбитражный бот»: это не инвестиции, это таймеры обратного отсчета. Реальная доходность в криптовалюте составляет однозначное число процентов годовых и сопровождается понятным риском. Все, что обещает больше, это ваши собственные деньги, которые вам возвращают, пока оператор не исчезнет.

6. Не спешите, когда переводите деньги

Атаки типа address poisoning подбрасывают в историю ваших транзакций похожие адреса в расчете на то, что вы скопируете один из них. Проверяйте первые и последние несколько символов каждого адреса, при крупных переводах сначала отправляйте небольшую тестовую сумму и считайте тревожным признаком саму срочность. Ничто законное в криптовалюте не требует действовать в ближайшие десять минут.

7. Усильте защиту учетных записей, связанных с вашей криптовалютой

Ваша учетная запись на бирже надежна лишь настолько, насколько надежны ваша электронная почта и ваш номер телефона. Используйте уникальный пароль и двухфакторную аутентификацию через приложение или аппаратный ключ (никогда не через SMS, которая уязвима для подмены SIM-карты) на бирже и на почте, к которой она привязана. Попросите мобильного оператора добавить PIN-код, защищающий от переноса номера.

8. Пусть ваша конфигурация будет скучной

Браузер, полный случайных расширений, компьютер, полный взломанного программного обеспечения, и кошелек, полный полученных в рамках аирдропа загадочных токенов: именно так людей и обчищают. Занимайтесь криптовалютой в чистом профиле браузера, игнорируйте токены и NFT, появившиеся без приглашения, и никогда не подписывайте транзакции, которых не понимаете. Фишинг разрешений, когда вредоносный сайт обманом заставляет вас дать право тратить средства, опустошает кошельки через месяцы после клика.

9. Проверяйте то, что устанавливаете, до установки

Программа-кошелек является единственной программой на вашем компьютере, которая может перемещать ваши деньги, поэтому она заслуживает больше внимания, чем остальные. Скачивайте ее с сайта самого проекта или со страницы в магазине приложений, набрав адрес самостоятельно, а не перейдя по рекламе в поисковике, потому что поддельные приложения кошельков покупают верхнюю строку выдачи и попадали в оба официальных магазина приложений. Если проект публикует подписи или контрольные суммы, проверяйте их: их публикуют Bitcoin Core и большинство настольных кошельков, а проверка занимает минуту. Считайте обновление кошелька, пришедшее по электронной почте, в личных сообщениях или во всплывающем окне, атакой, потому что обычно это она и есть.

10. Позаботьтесь, чтобы кто-то мог найти ваши биткоины, когда вы сами не можете

У самостоятельного хранения есть один сценарий сбоя, к которому никто не готовится: владельца нет рядом. Биткоины, потерянные таким образом, потеряны навсегда, и семьи наблюдали, как баланс, о существовании которого они знали, навсегда оставался недоступным. Запишите, где находятся кошелек и резервная копия и какое это устройство, скажите одному человеку, которому вы доверяете, что инструкции существуют и как их найти, и храните эту записку отдельно от самой сид-фразы, чтобы находка одного из них не означала находку обоих. Если сумма это оправдывает, схема мультиподписи позволяет разделить восстановление между людьми или местами хранения, не отдавая никому ключи уже сегодня.

Когда что-то пошло не так

Действуйте быстро и сохраняйте записи. Если подозреваете компрометацию ключей, сразу переведите оставшиеся средства на новый кошелек. Отзовите разрешения для токенов с помощью надежного инструмента отзыва. Сообщите в местное подразделение по борьбе с киберпреступностью, а в США в IC3 ФБР. И остерегайтесь: «службы восстановления», которые обещают вернуть вашу криптовалюту за плату вперед, это второй вид мошенничества, нацеленный на недавних жертв. Настоящее восстановление встречается редко и никогда не продается через личные сообщения.

Что читать дальше

Начните с материала как безопасно хранить криптовалюту, где полностью разобрано хранение, перед покупкой устройства посмотрите наши обзоры аппаратных кошельков, а в руководстве по VPN прочитайте, что сетевая приватность защищает, а что нет. Затем один раз правильно настройте хранение и занимайтесь своей жизнью. Цель в том, чтобы все было скучно.